Applebee’s Behebt Sicherheitslücke durch Hartkodiertes Datenbank-Passwort, das Kundendaten Offenlegte

Image: TechCrunch · Source

Ein Sicherheitsforscher entdeckte, dass die Applebee’s App ein hartkodiertes Datenbankpasswort enthielt, das persönliche Kundendaten offenlegte. Das Unternehmen hat die Schwachstelle inzwischen behoben, um seine Daten zu schützen.

Die Restaurantkette Applebee’s hat kürzlich eine kritische Sicherheitslücke behoben, die persönliche Informationen registrierter Kunden offenlegte. Die Schwachstelle wurde vom britischen Cybersicherheitsforscher Robert Wiggins entdeckt und resultierte aus einem hartkodierten Passwort, das im Quellcode der Android-App von Applebee’s eingebettet war. Diese Zugangsdaten gewährten uneingeschränkten Zugriff auf eine interne Kundendatenbank.

Wiggins identifizierte das Passwort durch KI-unterstützte Analyse, während er Tausende von Codezeilen der App überprüfte, die über eine Million Downloads im Google Play Store hat. Das Hartkodieren solcher Zugangsdaten stellt eine ernsthafte Sicherheitsverletzung dar, da jeder mit Zugriff auf die App den Schlüssel auslesen und sich unbefugten Zugang zu Backend-Systemen verschaffen kann.

Eine Überprüfung durch TechCrunch bestätigte Wiggins’ Erkenntnisse: Durch das Anlegen eines Dummy-Kontos bei Applebee’s konnten sie auf sensible Kundendaten zugreifen, darunter Namen, E-Mail-Adressen (mit Verifizierungsstatus), Geburtsdaten, Telefonnummern, Postleitzahlen, Veteranenstatus, Anmeldezähler, Erstellungsdaten der Konten und IP-Adressen letzter Anmeldungen. Die Offenlegung brachte auch das Risiko unautorisierter Änderungen an Kundendatensätzen mit sich.

Wiggins versuchte, Applebee’s und die Muttergesellschaft Dine Brands zu benachrichtigen, doch es gab keine speziellen Kanäle für Sicherheitsmeldungen, weshalb TechCrunch bei der Offenlegung half. Als Reaktion räumte Dine Brands das Problem ein, erklärte dass das Sicherheitsteam eine Untersuchung gestartet habe und bislang keine Hinweise auf unbefugten Zugriff gefunden wurden. Details zu Server-Log-Funktionen oder der Dauer der Schwachstelle wurden jedoch nicht preisgegeben.

Es ist unklar, wie viele Kunden betroffen sind; im vergangenen Jahr hatte das Applebee’s Prämienprogramm mindestens 8,5 Millionen registrierte Mitglieder, dennoch ist das genaue Ausmaß der Datenexponierung unbekannt. Das Unternehmen hat ebenfalls nicht bestätigt, ob betroffene Kunden oder Aufsichtsbehörden informiert werden oder ob es beabsichtigt, eine verpflichtende Meldung der Sicherheitslücke bei US-Behörden einzureichen.

Dieser Vorfall unterstreicht die Risiken des direkten Einbettens sensibler Zugangsdaten im App-Code, insbesondere bei weit verbreiteten Verbraucheranwendungen. Die schnelle Behebung durch Applebee’s zeigt die Bedeutung eines zügigen Reaktionsverhaltens, doch die fehlende transparente Kommunikation wirft Fragen zur fortlaufenden Sicherheitsüberwachung und zum Kundenschutz bei großen Restaurantketten auf.